Sự cố lộ khóa riêng đã cho phép kẻ tấn công truy cập trái phép vào “token safe” của IoTeX vào ngày 21/2, rút các tài sản trị giá ước tính từ 8 triệu USD trở lên trước khi chúng được chuyển đổi sang Ethereum và điều hướng đến Bitcoin (BTC) thông qua THORChain.
Đội ngũ IoTeX đã xác nhận vụ vi phạm nhưng phản bác các con số thiệt hại đang lan truyền trên thị trường, cho biết tổn thất thực tế thấp hơn báo cáo.
IOTX, token gốc của IoTeX, đã giảm khoảng 9–10% sau tin tức, với khối lượng giao dịch tăng vọt hơn 500% trong vòng 24 giờ.
Điều gì đã xảy ra
Công ty bảo mật blockchain PeckShield đã xác nhận vụ khai thác trên X, cho biết hacker đã giành toàn quyền kiểm soát “token safe” thông qua một khóa riêng bị xâm phạm và rút nhiều tài sản, bao gồm USDC, USDT, IOTX, WBTC, PAYG và BUSD.
Sau đó, kẻ tấn công đã hoán đổi các token bị đánh cắp sang ETH và cầu nối khoảng 45 ETH đến các địa chỉ Bitcoin bằng THORChain - một giao thức định tuyến cross-chain không có cơ chế đóng băng tập trung.
Vượt ra ngoài đợt rút ban đầu, kẻ tấn công được cho là đã tiếp tục lợi dụng cùng quyền truy cập bị xâm phạm này để mint 111 triệu token CIOTX, đẩy tổng thiệt hại ước tính lên khoảng 8,8–9 triệu USD trên tất cả các hướng tấn công. Ba địa chỉ ví của kẻ tấn công đã được các nhà phân tích on-chain công khai xác định.
Phản ứng của IoTeX
IoTeX đã công khai thừa nhận vụ vi phạm vào khoảng 10:30 sáng UTC ngày 21/2.
Đội ngũ cho biết họ đã phối hợp với các sàn giao dịch tiền mã hóa lớn và các đối tác bảo mật để truy tìm và đóng băng tài sản của hacker ở những nơi có thể, đồng thời mô tả tình hình là “đã được kiểm soát”.
Dự án không tiết lộ con số thiệt hại đã được xác nhận, chỉ nói rằng các ước tính ban đầu “thấp hơn đáng kể so với những tin đồn đang lan truyền”.
Đọc thêm: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Tại sao điều này quan trọng
Khả năng thu hồi tài sản bị phức tạp hóa bởi việc kẻ tấn công sử dụng THORChain, vốn xử lý các giao dịch hoán đổi cross-chain mà không có bên giám hộ và không thể bị các bên tập trung đóng băng. Khi tiền đến được các địa chỉ Bitcoin qua tuyến này, khả năng truy vết on-chain bị thu hẹp đáng kể.
Vụ vi phạm IoTeX là một phần của mô hình rộng lớn hơn. CrossCurve đã mất 3 triệu USD trong một vụ khai thác cầu nối riêng chỉ ba tuần trước đó, và tháng 1/2026 ghi nhận gần 400 triệu USD bị đánh cắp trong toàn ngành tiền mã hóa, theo các dữ liệu theo dõi bảo mật hiện có.
Các vụ xâm phạm khóa riêng - thay vì lỗi trong smart contract - ngày càng trở thành vector tấn công được ưa chuộng, hoàn toàn bỏ qua mã đã được audit bằng cách nhắm vào bảo mật vận hành.
Đọc thêm: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April